Azure流水线能否通过VPN向仅VPN可访问的FTP服务器上传文件

需求可行性结论 #

该需求完全可以实现，不需要部署本地自托管代理，直接在微软托管的Azure代理上完成「VPN连接建立→FTP上传」的全流程即可。

具体实现步骤 #

• 第一步：先将新VPN和FTP的敏感信息存入Azure DevOps安全配置
  把OpenVPN配置文件、VPN账号密码、FTP账号密码、FTP内网地址这类敏感内容，存入Azure DevOps项目的「安全变量」或「加密变量组」，所有敏感值标记为保密(Secret)，禁止明文写在流水线YAML中。
• 第二步：在现有FtpUpload@2任务前添加VPN连接任务
  微软托管的主流系统代理（Ubuntu、Windows）都预装或支持快速安装VPN客户端，以OpenVPN为例，Ubuntu代理的连接命令参考如下：

  # 写入提前存为变量的ovpn配置内容到本地文件
  echo "$(OPENVPN_CONFIG)" > config.ovpn
  # 后台启动OpenVPN连接
  sudo openvpn --config config.ovpn --auth-user-pass <(echo -e "$(VPN_USER)\n$(VPN_PASS)") --daemon
  # 等待VPN连接建立，验证FTP服务器连通性
  sleep 10
  nc -zv <FTP服务器内网地址> 21
  

  如果使用Global Protect等其他类型VPN，对应替换为对应客户端的安装、连接命令即可。
• 第三步：修改原有FtpUpload@2任务配置
  仅需要更新任务中的FTP连接参数为新的内网FTP配置，其余原有参数可以保留：

  - task: FtpUpload@2
    inputs:
      credentialsOption: 'inputs'
      serverUrl: 'ftp://<新的内网FTP地址>' # 替换为VPN访问的FTP内网地址
      username: '$(NEW_FTP_USER)' # 替换为提前存储的安全变量
      password: '$(NEW_FTP_PASS)' # 替换为提前存储的安全变量
      rootDirectory: '$(Build.ArtifactStagingDirectory)'
      filePatterns: '**'
      remoteDirectory: '/PublishFiles/'
      clean: true
      preservePaths: true
      trustSSL: false
  

注意事项 #

• VPN连接执行后必须添加连通性校验步骤，避免VPN未连接成功就执行上传任务导致失败。
• 如果FTP使用被动模式，需要确认FTP服务器配置的被动端口范围在VPN链路中允许访问。
• 托管代理任务结束后会自动销毁资源，VPN连接会自动断开，无需额外执行断开操作，若有更高安全要求也可在上传任务结束后主动执行VPN断开命令。

内容的提问来源于stack exchange，提问作者kazyama